Пока ты включал компьютер: «Лаборатория Касперского» обнаружила кибератаки на диппредставительства в Центральной Азии с использованием нового буткита

Для этого злоумышленники воспользовались уже известным недостатком в обновлении безопасности от Microsoft

Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) обнаружили новый буткит BlackX — сложное вредоносное ПО, которое начинает действовать ещё до загрузки операционной системы Windows. Злоумышленники применили его в кибератаках на дипломатические учреждения в Центральной Азии, воспользовавшись уже известным недостатком в обновлении безопасности от Microsoft, который был зарегистрирован ещё в 2022 году. Результаты исследования были представлены на ежегодной международной конференции Security Analyst Summit 2026 на Бали.

Что известно о новом зловреде. BlackX — сложное вредоносное ПО, разработанное для обхода механизмов защиты процесса загрузки Windows, а также сторонних защитных решений. Буткит позволяет атакующим действовать незаметно и длительное время сохранять доступ к устройствам жертв. Анализ показал, что BlackX представляет собой обновлённую и модернизированную версию буткита BlackLotus, который продавался в даркнете ещё в 2022 году.

Вредонос способен обходить механизм «Безопасная загрузка» (Secure Boot): он отвечает за то, чтобы при запуске компьютера выполнялось только доверенное программное обеспечение. Для этого злоумышленники используют уже известную уязвимость под названием Baton Drop, зарегистрированную ещё в 2022 году. Microsoft уже выпустила для неё исправление, однако для полноценной активации защиты системным администраторам необходимо вручную выполнить ряд настроек. Если организации этого не сделают, их системы остаются уязвимыми, даже если обновление установлено.

Как происходит атака. Буткит BlackX используется в качестве дополнительного вредоносного ПО: оно позволяет сохранять доступ к заражённым устройствам после того, как злоумышленникам удастся проникнуть во внутренние сети организаций и получить права администратора на компьютерах под управлением Windows. Чтобы скрыть свои действия от ИБ-специалистов, атакующие доставляли компоненты буткита на устройства жертв при помощи зашифрованных файлов, а также специальных программ-установщиков, помогающих избежать обнаружения.

После успешной эксплуатации BlackX устанавливает компонент, предназначенный для отключения защитного ПО. Защита «Лаборатории Касперского» для конечных устройств успешно заблокировала эту попытку — и кибератака была отражена. Если бы злоумышленникам удалось отключить защиту, далее запустилось шпионское ПО, которое использует легитимные облачные сервисы, такие как Google Drive, OneDrive и Яндекс Диск, чтобы красть конфиденциальную информацию и отслеживать действия жертв.

Эксперты «Лаборатории Касперского» со средней степенью уверенности связывают данную кампанию с китайскоязычной APT-группой APT41, которая атакует организации из разных отраслей.

«Появление BlackX заслуживает особого внимания, поскольку APT-группы редко заимствуют код или концепты — в данном случае буткит BlackLotus — непосредственно у других злоумышленников. Взяв за основу коммерческий вредоносный инструмент, группе удалось обойти механизмы защиты процесса загрузки Windows. Такой гибридный подход показывает, что теперь для скрытого и устойчивого контроля над сетями организаций злоумышленникам необязательно разрабатывать принципиально новые инструменты и методы, даже если они технически хорошо подкованы», — комментирует Георгий Кучерин, старший эксперт Kaspersky GReAT.

Подробный отчёт доступен на сайте Securelist.

Для защиты от подобных угроз «Лаборатория Касперского» рекомендует организациям:

• убедиться, что ИТ-специалисты выполнили ручные действия, рекомендованные Microsoft для устранения Baton Drop и других подобных уязвимостей;
• ограничивать права администратора для сотрудников;
• использовать надёжные защитные решения, способные отслеживать целостность прошивок. Компонент «Защита от эксплойтов» (Exploit Prevention), входящий в состав решений «Лаборатории Касперского» для защиты конечных устройств, предотвращает выполнение эксплойтов, даже если обновление безопасности ещё не установлено — или речь идёт об уязвимости нулевого дня, для которой ещё не вышел патч.